금융보안원, 핀테크 업체와 금융사의 연결고리

[한국금융신문 김효원 기자] “금융IT 부문 규제가 당국의 사전규제에서 민간 중심 자율규제로 바뀌고 핀테크업체들의 기술도 다양해졌어요. 핀테크업체들이 보유한 기술의 보안수준이 안전한지 검토해줄 수 있는 곳이 필요하게 됐죠”

금융당국은 지난 6월 ‘금융IT부문 자율보안체계 확립방안’을 발표하고 금융감독원의 보안성 심의 등 당국의 금융IT 보안규제를 사전규제에서 사후규제로 전환하겠다고 밝혔다. 금융회사 스스로 정보보안과 내부통제를 강화하고 민간 중심의 자율적 보안체계를 확립하기 위함이다.

그러나 이수미 금융보안원 핀테크보안팀장은 “영세한 핀테크업체들의 경우 기술개발 과정에서 자체적으로 보안수준을 진단하기가 쉽지 않다”고 지적했다.
보안규제 패러다임이 자율보안체계로 바뀌는 과정에서 발생하는 이러한 공백을 메꾸기 위해 금융보안원은 지난 9월 핀테크보안팀을 꾸렸다. 핀테크 기업이 민간기구인 금융보안원을 통해 보유 기술에 대한 보안수준 진단을 의뢰할 수 있도록 한 것이다.

“인터넷뱅킹 등을 제공하는 금융사들의 보안수준은 굉장히 높아요. 하지만 금융분야에 처음 도전하는 핀테크업체들은 사용자들의 편의성에 집중하다보니 상대적으로 보안수준이 낮을 수 있습니다. 보안성과 편의성은 트레이드 오프(trade off) 관계니까요. 우리는 금융사와 핀테크업체 사이에서 보안수준의 갭을 조절해주는 역할을 합니다.”

금융보안원 핀테크보안팀에선 무료로 진행되는 보안상담과 컨설팅을 통해 핀테크 기술에 대한 보안위협을 사전에 분석하고 업체 스스로 개발과정에서 보안수준을 높일 수 있도록 지원한다. 현재까지 40여개 업체가 컨설팅을 받았다.

컨설팅에서 나아가 실제 테스트를 통해 핀테크 신기술의 보안수준을 진단하는 서비스도 제공한다. 기술개발이 활발한 △IC카드접촉 △생체인증 △TEE(안전실행환경) △토큰화 등 4가지 신기술 분야를 중심으로 우선 실시하고 향후 확대할 예정이다.

“우리가 금융사들의 보안 눈높이를 잘 아니까 상담과 컨설팅을 통해서 보안수준을 어느 정도 조율하면 핀테크업체 입장에선 금융사를 바로 찾아가는 것보다 용이한 측면이 있죠. 중간에서 양쪽의 보안수준을 맞추는 것이 제일 어려운 일이기도 하고요.”
금융사 입장에선 핀테크 기술의 보안수준에 대한 보안전문가들의 의견을 참고할 수 있고, 핀테크업체는 금융보안원 컨설팅 결과보고서를 금융사와의 업무제휴 과정에서 기초자료로 활용할 수 있다. 핀테크의 안전성을 확보하고 금융사와 핀테크업체 간 협업 활성화를 돕는 것이다.

“업무과정에서 핀테크업체나 금융사들과 커뮤니케이션이 정말 많아요. 핀테크업체들의 요구사항은 금융사에서 보안성을 신뢰할 수 있도록 보안수준을 높여달라는 것 딱 하나에요. 금융사들은 핀테크 신기술들이 보안적으로 문제가 없는지 검토해주길 원하고요.”

핀테크보안팀이 생긴 지 4개월째가 되면서 핀테크 보안에 대한 정보도 조금씩 데이터 베이스(DB)에 쌓이기 시작하고 문의도 점점 늘고 있다. 이 팀장은 내년부터 기존 컨설팅 업무를 본격적으로 진행하는 한편, 핀테크업체 대상 교육활동도 펼칠 계획이다.

“핀테크 기술이 정말 다양하니까 우리도 한계에 부딪히는 경우도 있어요. 보안 관련이 아닌 문제를 상담하러 오시는 분들도 계셔서 간단한 가이드밖에 못한 적도 있고요. 핀테크업체 입장에서 보안에 관해선 어떤 부분들을 고려해야하는지 교육이 필요할 것 같아요. 암호화가 무엇인지, 이 정보들 만큼은 반드시 보호해야 한다든지 같은 것들이요.”


김효원 기자 hyowon123@fntimes.com